Los modelos de organización y gestión para prevenir la responsabilidad penal de las personas jurídicas

En una materia tan compleja y novedosa como es la responsabilidad penal de las personas jurídicas, respecto de la cual las posiciones doctrinales, y en el propio seno de la Sala Segunda del Tribunal Supremo, no es que estén alejadas sino que llegan a ser contrapuestas (véase la sentencia de 29 de febrero de 2016, nº 154/2016), es imprescindible disponer de faros que con su luz orienten la navegación por aguas tan procelosas y proclives a generar un daño reputacional, tan difícil de reparar, a las corporaciones.

La Circular de la Fiscalía General del Estado 1/2016, con sus defectos, es un punto de referencia sólido.

Con esta entrada pretendemos destacar las implicaciones más relevantes respecto a los llamados “modelos de organización y gestión”.

Según el art. 31 bis, ap. 5, del Código Penal, estos modelos deberán cumplir los siguientes requisitos:

1.º Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.

2.º Establecerán los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos.

3.º Dispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

4.º Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.

5.º Establecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.

6.º Realizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.

La Fiscalía General del Estado realiza diversas consideraciones de interés en la Circular 1/2016, de las que reproducimos, sintéticamente, las más destacadas:

1) Remisión, para ser tenidas en cuenta por todas las corporaciones, con las debidas adaptaciones, a la normativa sectorial financiera (Circular 1/2014 de la CNMV), a la de prevención del blanqueo de capitales (Ley 10/2010) y al Código de Buen Gobierno de las Sociedades Cotizadas de 2015 como referencia para el establecimiento del plan de prevención del riesgo penal empresarial.

2) Los programas han de ser claros, precisos y eficaces (redactados por escrito).

3) Cada programa debe estar adaptado a los riesgos de la empresa en cuestión.

4) Se debe evitar el “corta y pega” de los programas elaborados por otras empresas.

5) En empresas de cierto tamaño, se ha de contar con las aplicaciones informáticas pertinentes.

6) Se ha de velar por la idoneidad de los administradores y directivo.

7) La comisión de un delito no implica automáticamente la descalificación del modelo por inefectivo.

8) El modelo debe permitir la detección de las conductas irregulares (canal de cumplimiento).

9) El código de conducta como requisito de la efectividad del sistema disciplinario.

10) Verificación periódica del modelo.

Pero más prácticas aún son las “nueve pautas exegéticas” para la evaluación de un modelo de prevención y gestión del riesgo penal:

Primera. Ha de evitarse que la mera aprobación del modelo constituya un salvoconducto para la impunidad de la persona jurídica.

Segunda. Evaluación del “compromiso corporativo” que disuada la perpetración de conductas delictivas.

Tercera. Las certificaciones externas sobre la idoneidad del modelo en modo alguno acreditan la eficacia del programa.

Cuarta. El compromiso de la alta dirección de la compañía: se presumirá que el programa no es eficaz si un alto responsable participa, consiente o tolera el delito.

Quinta. El establecimiento de altos estándares éticos en la contratación y promoción de directivos y empleados.

Sexta. La prevención del delito presupone el establecimiento de canales para su detección y puesta en conocimiento de la autoridad.

Séptima. La comisión del delito no descalifica per se el modelo: se ha de analizar el caso concreto.

Octava. Es relevante el análisis del comportamiento de la corporación en relación con anteriores conductas para deducir la voluntad general de cumplimiento y que la comisión del delito sea un acontecimiento puntual. 

Novena. La actuación de la persona jurídica posterior a la comisión del delito también merece ser evaluada (sanción al responsable, revisión del programa, reparación del daño…).

La función de cumplimiento normativo en las entidades bancarias

Extracto del artículo “La función de cumplimiento normativo en las entidades bancarias”, Estrategia Financiera, nº 343, noviembre de 2016, accesible por suscripción.

Una primera referencia, con el enfoque que nos es familiar, al cumplimiento y a la función de cumplimiento normativo se encuentra en el documento del Banco de Pagos Internacionales «Compliance and the compliance function in Banks» (2005). 

De este documento, anterior al inicio de la crisis financiera, destaca que la responsabilidad del cumplimiento se atribuye al propio consejo de administración y a la dirección de cada banco, que deben actuar con integridad y honestidad y dar ejemplo al resto de la organización. No se pasa por alto que hay que respetar el espíritu más que la literalidad de la norma, y que las conductas irregulares pueden generar perjuicios para los accionistas, los clientes, los empleados y los mercados, causando un impacto reputacional para la entidad implicada, aun cuando ninguna norma haya sido formal o materialmente vulnerada.

El Banco de Pagos Internacionales definió ya entonces el «riesgo de cumplimiento» («compliance risk») como el riesgo de sanciones legales o regulatorias, de pérdida financiera material o de reputación que un banco puede sufrir como resultado del incumplimiento de leyes, regulaciones, reglas, normativa interna y códigos de conducta aplicables a las actividades bancarias. La definición no es del todo afortunada, pues se centra en el aspecto sancionatorio y en las pérdidas originadas para el propio banco antes que en el fomento de una más etérea, pero efectiva a la larga, cultura de cumplimiento en beneficio del interés de los accionistas o los clientes.

Este conjunto heterogéneo de leyes, reglas y estándares se identificó, inicialmente, con materias como la conducta de mercado, la gestión de los conflictos de interés, la protección de los clientes, la idoneidad del asesoramiento prestado a estos, la prevención del blanqueo de capitales y de la financiación del terrorismo e incluso con el régimen tributario de los productos financieros ofertados.

El cumplimiento ya se consideró en este momento como un elemento que debía formar parte de la cultura de cada organización, y qué mejor forma para incentivar y expandir esta cultura que con la existencia de una función específica de cumplimiento, es decir, un conjunto de directivos encargados de asumir las responsabilidades en materia de cumplimiento, sin que el Banco de Pagos Internacionales prescribiese una concreta estructura organizativa, quedando reservada esta decisión a cada una de las entidades bancarias implicadas.

Eso sí, en este momento inicial se mostró la preferencia por una aproximación entre la función de cumplimiento y la función de riesgo operacional, que podían quedar superpuestas o separadas pero coordinadas. Del mismo modo, la función de cumplimiento había de ser periódicamente supervisada por la función de auditoría interna. Es decir, ya en 2005 se percibía la estrecha relación entre las funciones de cumplimiento normativo, control del riesgo y auditoría, que habría de desembocar más adelante en el «modelo de las tres líneas de defensa». 

Los principios de 2005 admitieron, con buen sentido, que no debían ser iguales las exigencias de cumplimiento en un gran banco, con presencia incluso en varios países, que las de una entidad pequeña. Asimismo, que no todo el cumplimiento se debía centrar en una sola unidad, sino que era admisible una descentralización por unidades especializadas (por ejemplo, para la prevención del blanqueo de capitales o para la protección de datos de carácter personal). En cuanto a la diversa intensidad de la función de cumplimiento según el tamaño de la entidad, esta cuestión todavía no ha sido adecuadamente resuelta en la práctica, lo que se podría acometer, en teoría, con la aplicación del principio de proporcionalidad.

Hasta ahora hemos considerado la función de cumplimiento normativo desde el punto de vista estrictamente bancario. Ahora bien, como es sabido, las entidades bancarias también pueden prestar servicios de inversión, y por esta vía llegó otro impulsó, indirectamente, al desarrollo de la función de cumplimiento normativo de los bancos, en tanto que prestadores de servicios de inversión.

Por otra parte, la función se ha consolidado, en la práctica, en el ámbito de la prevención del blanqueo de capitales y de la financiación del terrorismo, pues, en efecto, como adelantaron los principios del Banco de Pagos Internacionales de 2005, dicha función asume un papel relevante para la efectividad de las medidas de control interno de los sujetos obligados (art. 26 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo).

A propósito de la Ley Orgánica 1/2015, de 30 de marzo, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, y, entre otras novedades, se perfila el régimen de la responsabilidad penal de las personas jurídicas introducido en 2010, las funciones de control interno, y la de cumplimiento, en concreto, han ganado protagonismo, derivando en el llamado «compliance penal» o «cultura de cumplimiento» en el marco del «delito corporativo» que se comienza a perfilar por nuestra jurisprudencia y doctrina.

La completa modernización de la función de cumplimiento normativo ha llegado a través de los «Principios de gobierno corporativo para bancos» del Banco de Pagos Internacionales, de 2015, que le dedican su principio 9.